Native Verschlüsselungs- APIs unter ios. Dr. Wolfram Schroers

Transkript

1 Native Verschlüsselungs- APIs unter ios Dr. Wolfram Schroers

2

3 Konzepte zur Datensicherheit

4 (Auch) Usability-Frage! Datensicherheit Sicherheit (Beschränkter Zugriff) Verfügbarkeit (Leichter Zugriff)

5

6 Angriffsstrategien Angriff auf den Server/das Backend Social Engineering -Attacke ios kann uns hiervor schützen Man in the middle -Attacke Lokal auf den Client (Sicherheitslücken) Lokal mit gestohlenem Gerät

7 Are you sure you do not want to disable the permanent activation of the Quantumplasmapurificationfilter on the Spacetimecompactified Warpdriveengine?

8 Are you sure you do not want to disable the permanent activation of the Quantumplasmapurificationfilter on the Spacetimecompactified Warpdriveengine? Wollen Sie heute noch fertig werden oder sich die nächsten Stunden mit unverständlichem Techno-Gebrabbel herumärgern müssen?

9 Problem: Security-API-Spamming!

10 Desktop-Systeme Ein Rechner, mehrere voneinander getrennte Benutzer Schützt die Daten der Benutzer voreinander, gewährt aller Software unbegrenzten Zugriff mit Benutzerrechten

11 ios Ein Benutzer, ständig online, verschiedene Apps mit sensitiven Daten Kein Mehrbenutzerkonzept Sandboxing schützt die Apps voreinander Remote-Wipe gibt noch eine Chance, gestohlene Daten zu zerstören.

12 Security-APIs

13 Symmetrische Verschlüsselung Umsatz Meier AG FE9E01F2CA0D8F66 AES

14 Symmetrische Verschlüsselung Umsatz Meier AG FE9E01F2CA0D8F66 AES

15 Asymmetrische Verschlüsselung Öffentlich Privat

16 Asymmetrische Verschlüsselung Umsatz Meier AG RSA 72F7A4C296FE333C0D Öffentlich Privat

17 Asymmetrische Verschlüsselung 72F7A4C296FE333C0D Umsatz Meier AG RSA Privat Öffentlich

18 Digitale Signatur Umsatz Meier AG SHA F0AE2546 Privat Öffentlich

19 Digitale Signatur Umsatz Meier AG SHA F0AE2546 Privat Öffentlich

20 Schlüsselverwaltung Keychain API Privat Öffentlich

21 Einige APIs sind ios device only!

22 Beispiel I Data Protection API

23

24 [attr setvalue:nsfileprotectioncomplete forkey:nsfileprotectionkey];

25 NSFileProtectionNone NSFileProtectionComplete NSFileProtectionCompleteUnlessOpen NSF[ ]UntilFirstUserAuthentication

26 [[NSFileManager defaultmanager] setattributes:(nsdictionary *)attr ofitematpath:(nsstring *)path error:(nserror **)error];

27 [[NSFileManager defaultmanager] createfileatpath:(nsstring *)path contents:(nsdata *)contents attributes:(nsdictionary *)attr];

28 [(NSData *)adatum writetofile:(nsstring *)path options:(nsdatawritingoptions)mask error:(nserror **)errorptr];

29 DataProtectionClass: NSFileProtectionComplete

30 Callbacks im App-Delegate Registrierung für UIApplicationProtectedDataWillBeco meunavailable Die Property protecteddataavailable des [UIApplication sharedapplication] Objekts

31 ~/Library/Caches

32 Live Demo

33 Beispiel 1I Keychain API

34

35 alert.alertviewstyle = UIAlertViewStyleLoginAndPasswordInput;

36

37 [(NSString *)thepassword hash];

38 (const void *) CC_SHA256(data.bytes, data.length, result) uint32_t (unsigned char *)

39 NSDictionary *thedict = [NSDictionary dictionarywithobjectsandkeys: ( bridge id)(ksecclassgenericpassword), ( bridge id)(ksecclass), [username datausingencoding:nsutf8stringencoding], ( bridge id)(ksecattrgeneric), [protectedpassphrase datausingencoding:nsutf8stringencoding], ( bridge id)(ksecvaluedata), nil]; SecItemAdd(( bridge CFDictionaryRef)theDict, NULL);

40 NSDictionary *thedict = [NSDictionary dictionarywithobjectsandkeys: ( bridge id)(ksecclassgenericpassword), ( bridge id)(ksecclass), [username datausingencoding:nsutf8stringencoding], ( bridge id)(ksecattrgeneric), ( bridge id)(kcfbooleantrue), ( bridge id)(ksecreturndata), nil]; CFTypeRef result = NULL; SecItemCopyMatching(( bridge CFDictionaryRef)theDict, &result); passphrase = [[NSString alloc] initwithdata:( bridge_transfer NSData*)result encoding:nsutf8stringencoding];

41 Live Demo

42 Beispiel III RSA-API

43

44 PKCS #12 Container für private & öffentliche Schlüssel

45 Input (z.b. von UIAlertView) const void *keys[] = {ksecimportexportpassphrase}; const void *vals[] = {CFSTR(CRYPT_PASS)}; CRYPT_PASS CFDictionaryRef options = CFDictionaryCreate(NULL, keys, vals, 1, NULL, NULL); CFArrayRef queryresult = NULL; SecPKCS12Import(( bridge CFDataRef)pkcs12Data, options, &queryresult); CFRelease(options); ( bridge_transfer NSArray *)queryresult; Output (Inhalt PKCS#12 Wrapper) Input (Keychain oder Datei)

46 Input (PKCS#12-Wrapper) SecTrustRef trust = ( bridge SecTrustRef)([[queryResult objectatindex:0] valueforkey:( bridge id)ksecimportitemtrust]); // Benutze dann SecTrustEvaluate und verifiziere das Ergebnis! SecKeyRef publickey = SecTrustCopyPublicKey(trust); // [ ] // Nach Benutzung des Schlüssels: CFRelease(publicKey); Output (RSA öffentlicher Schlüssel)

47 Input (PKCS#12-Wrapper) SecIdentityRef identity = ( bridge SecIdentityRef)([[[queryResult objectatindex:0] valueforkey:( bridge id)ksecimportitemidentity]); SecKeyRef privatekey = NULL; SecIdentityCopyPrivateKey(identity, &privatekey); // [ ] // Nach Benutzung des Schlüssels: CFRelease(privateKey); Output (RSA öffentlicher Schlüssel)

48 Input (Cleartext) size_t keyblocksize = SecKeyGetBlockSize(publicKey); // Bei jedem Aufruf unten muss [buffer length] < (keyblocksize-hassize) sein! const unsigned char *buffer = (const unsigned char *)[cleartext UTF8String]; uint8_t *destbuffer = malloc(keyblocksize); memset(destbuffer, 0x0, keyblocksize); size_t destsize = keyblocksize; SecKeyEncrypt(publicKey, publickey ksecpaddingpkcs1, buffer, requiredspace, destbuffer, &destsize); Input (Öffentlicher RSA- Schlüssel) // [ ] // Später nicht vergessen: free(destbuffer); Output (Ciphertext & Größe)

49 Input (Ciphertext) size_t keyblocksize = SecKeyGetBlockSize(privateKey); size_t destinationsize = keyblocksize; unsigned char *buffer = malloc(destinationsize); memset(buffer, 0x0, keyblocksize); SecKeyDecrypt(privateKey, privatekey ksecpaddingpkcs1, input, inputsize, buffer, &destinationsize); Input (Privater Schlüssel) buffer[destinationsize] = 0x0; NSString *cleartext = [NSString stringwithutf8string:(const char *)buffer]; // [ ] // Später nicht vergessen: free(buffer); Output (Cleartext/Buffer)

50 Live Demo

51 SOAP / JSON XML-SAX-Parser kann signifikanten Speichervorteil liefern! (Verfügbar als C-API von libxml2!)

52 Zusammenfassung

53 Datensicherheit: Grundlagen und Konzepte Grundlage ist eine geeignete Security-Policy Diese Policy muss sowohl Usability als auch technische Aspekte berücksichtigen

54 ios Sandboxing schützt vor kompromomittierten Apps Beispiel I: Data Protection API Beispiel II: Passwörter & Keychain-API Beispiel III: Asymmetrische RSA-Verschlüsselung Datenaustausch mit Backend-Systemen Schützt bei gestohlenen Geräten Allgemein: Verschlüsselung schützt vor Man-in-the-Middle-Attacken

55 Referenzen Dokumentation & Sourcen zu diesem Talk: Apple ios Security Apple Keychain Services Programming Guide iphonetasks/iphonetasks.html Apple Certificate, Key, and Trust Services Reference Reference/reference.html Apple Cryptographic Services Guide Introduction.html#//apple_ref/doc/uid/TP CH1-SW1